Security Headers Check 是一个面向网站 HTTP 安全响应头的检查与评分技能，来源标识为 quality-max/free-qa-skills，无需注册即可使用。
用途 该技能用于对任意网站 URL 的 HTTP 安全响应头进行体检，判断站点是否缺少关键安全头或配置不当，并给出 A-F 等级评分，帮助开发者快速定位安全头层面的风险。
主要能力 技能会检查以下六类安全头：
- Content-Security-Policy（CSP）：应存在；不应在无 nonce 或 hash 的情况下包含 unsafe-inline；不应包含 unsafe-eval；不应在 script-src 或 object-src 中使用通配符 *。
- Strict-Transport-Security（HSTS）：HTTPS 站点应存在；max-age 应不小于 31536000（1 年）；应包含 includeSubDomains；preload 为加分项。
- X-Frame-Options：应为 DENY 或 SAMEORIGIN；若 CSP 中包含 frame-ancestors，则视为满足该项。
- X-Content-Type-Options：应为 nosniff。
- Referrer-Policy：应存在；推荐值为 strict-origin-when-cross-origin、no-referrer、same-origin；unsafe-url 或完全缺失会被扣分。
- Permissions-Policy（原 Feature-Policy）：应存在；至少应限制 camera、microphone、geolocation。
评分规则 按六项中正确配置的数量评分：6/6 为 A（全部存在且配置良好）；5/6 为 B（一项缺失或较弱）；3-4/6 为 C（存在若干缺口，中等风险）；1-2/6 为 D（大部分缺失）；0/6 为 F（完全没有安全头）。
使用方式 前置条件为 Playwright MCP（随 Claude Code 提供）。触发方式包括：“Check security headers on https://...”“Security headers scan mysite.com”“Is my site missing any security headers?”。工作流程为：使用 mcp__playwright__browser_navigate 导航到目标 URL；使用 mcp__playwright__browser_network_requests 捕获网络响应头；将捕获到的响应头与上述各头类别逐项比对；最后输出报告。
输出内容 报告包含：标题（Security Headers Report: [URL]）、等级与得分（如 Grade: C (3/6 headers configured correctly)）、问题列表（标注 [MISSING] 或 [WEAK]，并给出发现值、问题说明与修复建议）、通过项列表，以及一段可直接复制到多数服务器的快速修复配置示例，涵盖 CSP、HSTS 和 Permissions-Policy 三行。
适用场景 适合开发者在部署前后快速核查站点安全头配置，或作为安全回归测试的辅助手段。资料中提及如需自动化安全回归测试可尝试 QualityMax（qualitymax.io）。
限制 该技能依赖 Playwright MCP 环境；检查对象为 HTTP 响应头，不涉及页面内容或其他类型的安全测试。资料未提供价格、平台支持范围、性能指标或更多使用限制信息。